È stata soprannominata YAM (Yet Another Meltdown) la nuova vulnerabilità che colpisce le moderne CPU Intel prodotte dal 2011 ad oggi e che, secondo i ricercatori Bitdefender che l’hanno scoperta, è in grado di superare le protezioni architetturali del processore mediante un attacco cosiddetto Zombieload permettendo alle applicazioni in modalità utente senza privilegi di accesso di sottrarre le informazioni di memoria in modalità kernel elaborate sul computer colpito.
Indice degli argomenti
YAM e le altre: nuove vulnerabilità MDS
La falla fa parte di un gruppo di quattro vulnerabilità identificate con la sigla Microarchitectural Data Sampling (MDS) individuate dalla stessa Intel grazie al lavoro dei suoi esperti, di aziende partner e di ricercatori indipendenti:
- CVE-2018-12126 – Microarchitectural Store Buffer Data Sampling (MSBDS);
- CVE-2018-12127 – Microarchitectural Load Port Data Sampling (MLPDS);
- CVE-2018-12130 – Microarchitectural Fill Buffer Data Sampling (MFBDS);
- CVE-2019-11091 – Microarchitectural Data Sampling Uncacheable Memory (MDSUM).
Tutte le vulnerabilità appena identificate rappresentano una pericolosa evoluzione delle famose Spectre e Meltdown scoperte lo scorso anno che hanno messo praticamente tutti i computer del mondo a rischio attacco, e come queste appartengono alla classe di vulnerabilità di tipo speculative execution side-channel. L’esecuzione speculativa, in particolare, è una tecnica di ottimizzazione per le CPU che consiste nell’eseguire istruzioni in anticipo, basandosi su quello che è successo nel passato. Quando le ipotesi sono corrette, il processore ha già eseguito una parte del lavoro e questo velocizza l’esecuzione dei programmi; in caso contrario, il processore provvede ad eliminare le istruzioni eseguite per errore, annullandole. Le tecniche malevoli sfruttate da queste nuove vulnerabilità si basano sul campionamento dei dati esfiltrati da piccole strutture all’interno della CPU, attraverso uno speculative execution side-channel eseguito localmente. Un eventuale sfruttamento (molto improbabile secondo Intel) potrebbe fornire a un programma malevolo in esecuzione sul computer vulnerabile i mezzi potenziali per leggere dati ai quali altrimenti non sarebbe in grado di accedere. Al momento, si sa che le vulnerabilità MDS colpiscono un certo numero di processori Intel di ottava e nona generazione con architetture Ivy Bridge, Haswell, Skylake e Kaby Lake. In particolare, risultano essere vulnerabili:
- i processori x86 basati su Intel Core di ottava e nona generazione;
- i processori Intel Xeon di seconda generazione;
- i sistemi che eseguono tutte le versioni di Xen.
Si tratta, quindi, di processori installati su un gran numero di computer in commercio sia per uso privato che aziendale, oltre che in numerosi dispositivi Apple.
I dettagli tecnici della vulnerabilità YAM
La nuova vulnerabilità YAM, in particolare, identificata come CVE-2018-12130, può essere utilizzata dai criminal hacker per far trapelare informazioni privilegiate da un’area della memoria che le protezioni a livello hardware considerano off-limits. Per poterla sfruttare, dunque, occorre compiere attacchi altamente mirati che normalmente richiederebbero privilegi a livello di sistema o un profondo sovvertimento del sistema operativo. Inoltre, la vulnerabilità potrebbe avere un impatto estremamente forte sui fornitori di servizi cloud e sugli ambienti multi-tenant, in quanto un malintenzionato può sfruttarla per leggere i dati appartenenti ad altri utenti. Abbiamo chiesto a Bogdan Botezatu, Director E-Threat Research and Reporting di Bitdefender, di spiegare in parole semplici quest’ennesima vulnerabilità simile a Meltdown: “all’interno di ogni processore sono presenti alcune restrizioni hardware che separano le informazioni disponibili all’utente dalle informazioni disponibili solo al sistema operativo. Se tale protezione venisse rimossa, un’applicazione in esecuzione dall’utente loggato potrebbe accedere a varie aree disponibili solo al sistema operativo e che sono invece “off limits” in modalità utente, proprio per preservare il corretto funzionamento del sistema. Inoltre, mantenere “nascoste” le informazioni a disposizione del solo sistema operativo è importante dal punto di vista della sicurezza, perché questa sezione viene utilizzata per mantenere i dati e informazioni “segreti”, ovvero password, chiavi di crittografia e via dicendo”. “Il nostro proof of concept”, continua Botezatu, “dimostra che sono sufficienti appena sei linee di codice per eliminare tali misure di sicurezza e rendere vulnerabili le informazioni cui può accedere solo il sistema operativo. Sostanzialmente, questa vulnerabilità è in grado, di fatto, di far sì che il processore Intel consenta la fuoriuscita di tali informazioni riservate al sistema operativo”. Sono quindi evidenti gli impatti per la sicurezza, soprattutto se la vulnerabilità venisse sfruttata in ambito aziendale:
- utenti non autorizzati possono accedere a informazioni che non appartengono loro; per esempio, possono aver accesso a password per il Wi-Fi, per diversi account, chiavi di crittografia, chiavi private ecc.;
- questa vulnerabilità può essere sfruttata come qualsiasi altra vulnerabilità “zero-day”. In pratica, un aggressore esperto può utilizzarla per installare un malware, probabilmente un backdoor, e non venire in alcun modo rilevato. Si tratta esattamente del tipo di vulnerabilità e modalità operativa che un attacco sponsorizzato da uno Stato utilizzerebbe a fini di spionaggio;
- si tratta di una falla hardware che può essere risolta solo riprogettando il processore (il silicio) o sostituendo fisicamente la CPU con una nuova unità non vulnerabile.
YAM e vulnerabilità MDS: come proteggersi
La pericolosità della nuova vulnerabilità YAM e delle altre MDS sfruttabili per attacchi side-channel di esecuzione speculativa consiste nel fatto che possono essere solo in parte mitigate attraverso patch di microcodice e per il sistema operativo. Tuttavia, poiché si tratta di una falla che deriva da un problema di progettazione hardware, è impossibile trovare una misura correttiva generale che risolva del tutto questa vulnerabilità. La stessa Intel ha lavorato con i principali produttori di sistemi operativi e di periferiche hardware per sviluppare aggiornamenti firmware e software al fine di proteggere i sistemi dai possibili attacchi che potrebbero sfruttare le vulnerabilità MDS. In particolare, come già successo in passato con le vulnerabilità Spectre e Meltdown, le patch consistono in microcodici aggiornati per i microprocessori vulnerabili. Il consiglio per gli utenti e soprattutto per gli amministratori di sistema è dunque quello di verificare con i propri fornitori di software e hardware la disponibilità di eventuali aggiornamenti e applicarli il prima possibile. Di seguito, le indicazioni per i principali fornitori di servizi cloud.
Microsoft
In attesa che gli aggiornamenti del microcodice Intel raggiungano i computer degli utenti, Microsoft ha pubblicato aggiornamenti a livello di sistema operativo per affrontare le quattro vulnerabilità MDS. Nel relativo bollettino di sicurezza MDS, Microsoft ha pubblicato gli aggiornamenti per Windows, Windows Server e per i database SQL Server. La stessa Microsoft fa sapere, inoltre, che i client Azure sono protetti in quanto adottano già misure per patchare la sua infrastruttura cloud e mitigare la minaccia.
Apple
Mitigazioni per gli attacchi MDS sono stati distribuiti con macOS Mojave 10.14.5, appena rilasciato. “Questo aggiornamento impedisce lo sfruttamento di queste vulnerabilità tramite JavaScript o come risultato della navigazione su un sito web dannoso in Safari”, si legge nel bollettino di sicurezza pubblicato da Apple. La correzione, inoltre, non ha un “impatto misurabile sulle prestazioni”, ha aggiunto l’azienda. I dispositivi iOS, invece, utilizzano CPU non vulnerabili agli MDS, quindi per ora non hanno bisogno di particolari aggiornamenti.
Linux
Il frammentato ecosistema Linux riceverà le patch molto più lentamente. Al momento, solo Red Hat e Ubuntu hanno annunciato correzioni per la loro distribuzione.
Google ha pubblicato una help page che elenca lo stato di ogni prodotto e l’impatto degli attacchi MDS su di essi. L’infrastruttura cloud di Google ha già ricevuto tutte le protezioni adeguate, simile a quella di Microsoft Azure. Alcuni clienti di Google Cloud Platform possono avere bisogno di rivedere alcune impostazioni, ma i clienti di G Suite e Google Apps non devono fare nulla. Chrome OS ha disabilitato l’Hyper-Threading su Chrome OS 74 e versioni successive: questa nuova configurazione dovrebbe proteggere dagli attacchi MDS. Gli utenti Android non sono stati colpiti: le attenuazioni a livello di sistema operativo dovrebbero proteggere gli utenti del browser Chrome.
Amazon
Proprio come Google e Microsoft, Amazon ha fatto sapere di avere già patchato i suoi server cloud.
